Ratgeber

Was ist ein VPN und wie funktioniert es?

Ein VPN (Virtual Private Network, virtuelles privates Netzwerk) baut einen verschlüsselten Tunnel von deinem Gerät zu einem Server an einem anderen Ort auf und leitet deinen gesamten Internetverkehr hindurch. Dieser Ratgeber erklärt mit Grafiken und ohne Fachchinesisch, wie das funktioniert, wovor ein VPN dich wirklich schützt, wovor nicht und wie du ein gutes auswählst und einrichtest.

Was ist ein VPN?

VPN steht für Virtual Private Network, also virtuelles privates Netzwerk. Zuerst bauten Firmen VPNs, damit Mitarbeitende von zu Hause oder unterwegs ins interne Firmennetz kamen, als säßen sie im Büro. Virtuell ist das private Netzwerk, weil es keine eigenen Kabel braucht: Es läuft über das normale, öffentliche Internet, geschützt durch Verschlüsselung.

Heute kennen die meisten VPNs als Apps: Du installierst eine, tippst auf „Verbinden“, und ab dann geht alles, was dein Gerät ins Internet schickt, zuerst durch eine verschlüsselte Verbindung zu einem Server des VPN-Anbieters. Dieser Server leitet deinen Verkehr an die Websites und Apps weiter, die du nutzt, und schickt ihre Antworten durch denselben Tunnel an dich zurück.

Ein einfaches Bild: Ohne VPN reist dein Internetverkehr wie eine Postkarte. Jeder, der sie unterwegs in die Hand nimmt, etwa das WLAN und dein Internetanbieter, kann die Adresse lesen und oft auch den Text. Mit VPN steckt die Postkarte in einem verschlossenen Umschlag, adressiert an den VPN-Server. Erst dort wird sie herausgenommen und weitergeschickt.

Wie ein VPN funktioniert, Schritt für Schritt

Hinter dem Verbinden-Knopf passiert bei jedem VPN dasselbe, egal von welchem Anbieter:

1. Die App kontaktiert den VPN-Server Dein Gerät baut eine Verbindung zu dem Server auf, den du gewählt hast, zum Beispiel einem in Deutschland.
2. Beide Seiten weisen sich aus Der Server beweist mit einem Zertifikat oder Schlüssel, dass er wirklich der Server deines Anbieters ist und kein Betrüger; du meldest dich mit deinem Konto oder deinem eigenen Schlüssel an.
3. Sie einigen sich auf geheime Schlüssel Mit einem Schlüsselaustausch (unten erklärt) berechnen beide Seiten dieselben geheimen Schlüssel, ohne sie je über das Internet zu schicken.
4. Ein virtueller Netzwerkadapter erscheint Die App fügt deinem System einen virtuellen Netzwerkadapter hinzu und schickt den gesamten Internetverkehr dorthin statt direkt an deinen Router.
5. Jedes Paket wird verpackt und verschlüsselt Alle Daten, die deine Apps senden, werden verschlüsselt und in ein neues Paket an den VPN-Server gepackt. Das nennt man Kapselung.
6. Der Server packt aus und leitet weiter Der VPN-Server entschlüsselt das Paket, setzt seine eigene Adresse an die Stelle deiner und schickt es an die Website. Die Antwort nimmt denselben Weg zurück.

Deine echte IP-Adresse sieht nur der VPN-Server. Für die Website kommt die Anfrage vom VPN-Server, also verortet sie dich im Land des Servers. Deshalb ändert ein VPN den Ort, an dem Websites dich vermuten.

Verschlüsselung, einfach erklärt

Verschlüsselung macht aus lesbaren Daten etwas, das wie zufälliges Rauschen aussieht; nur wer den richtigen Schlüssel hat, kann es zurückverwandeln. Ein VPN nutzt dafür vier Bausteine.

Die Daten abschließen: symmetrische Verschlüsselung

Steht der Tunnel, werden alle Daten mit einem Schlüssel verschlüsselt, den beide Seiten kennen. Moderne VPNs nutzen AES-256-GCM oder ChaCha20-Poly1305. Ein 256-Bit-Schlüssel kann 2²⁵⁶ verschiedene Werte haben, eine Zahl mit 78 Stellen: Sie alle auszuprobieren, schafft kein Computer, den es gibt. Beide Verfahren erkennen außerdem Manipulationen, sodass ein unterwegs verändertes Paket verworfen wird.

Sich auf einen Schlüssel einigen, ohne ihn zu senden: Schlüsselaustausch

Der Schlüssel selbst darf nie übers Internet reisen, also einigen sich beide Seiten mit einem Diffie-Hellman-Schlüsselaustausch darauf, heute meist in der Variante mit elliptischen Kurven wie X25519. Die Idee versteht man am leichtesten mit Farbe:

Sicher sein, mit dem richtigen Server zu sprechen: Authentifizierung

Ein Schlüsselaustausch allein sagt nicht, wer am anderen Ende sitzt. Deshalb weist sich der Server auch aus, mit einem Zertifikat (OpenVPN, IKEv2) oder einem öffentlichen Schlüssel, den die App schon kennt (WireGuard). Ohne diesen Schritt könnte sich ein Angreifer im Netzwerk als VPN-Server ausgeben.

Ständig neue Schlüssel: Forward Secrecy

Gute VPNs wechseln ihre Schlüssel regelmäßig; WireGuard zum Beispiel erzeugt alle zwei Minuten neue. Selbst wenn ein Schlüssel je gestohlen würde, öffnete er nur ein paar Minuten Verkehr, nicht alles, was du vorher gesendet hast. Das nennt man Perfect Forward Secrecy. Manche Anbieter ergänzen inzwischen auch einen Post-Quanten-Schlüsselaustausch (etwa ML-KEM), damit heute aufgezeichneter Verkehr auch von künftigen Quantencomputern nicht entschlüsselt werden kann.

VPN-Protokolle im Vergleich

Ein VPN-Protokoll ist das Regelwerk für den Aufbau des Tunnels: wie man sich auf Schlüssel einigt, wie Pakete verpackt werden und wie sie reisen. Die meisten Apps lassen dich wählen; „Automatisch“ nimmt meist eines der ersten drei.

• WireGuard ist das neueste davon und seit 2020 Teil von Linux. Sein Code ist nur etwa 4.000 Zeilen lang, klein genug, dass Fachleute ihn gründlich prüfen können, und es nutzt einen festen Satz moderner Kryptografie statt einer langen Liste von Optionen. Viele Anbieter bauen ihre eigenen Protokolle darauf auf.
• OpenVPN gibt es seit 2001, es ist Open Source und läuft fast überall. Es ist langsamer als WireGuard, kommt über TCP aber durch Firewalls, die nur Webverkehr erlauben.
• IKEv2/IPsec ist in Windows, macOS, iOS und Android eingebaut. Seine MOBIKE-Funktion hält den Tunnel offen, wenn dein Handy das Netz wechselt. Seine festen Ports (UDP 500 und 4500) lassen sich leicht sperren.
• PPTP stammt aus den 1990er-Jahren, und seine Verschlüsselung ist seit Jahren geknackt. Manche Router bieten es noch an: Finger weg.

Was ein VPN verbirgt, und vor wem

Ob dich ein VPN schützt, hängt davon ab, vor wem du geschützt sein willst. Diese Tabelle zeigt, was jede Stelle auf dem Weg sehen kann.

Und HTTPS?

Fast alle Websites nutzen HTTPS (das Schloss in der Adressleiste), das Seiten zwischen deinem Browser und der Website verschlüsselt. Ohne VPN kann dein Netzwerk dann nicht lesen, was du eintippst oder welche Seite einer Website du öffnest. Es sieht aber weiterhin die Namen der Websites, mit denen du dich verbindest, über DNS-Abfragen und den Namen, den dein Browser beim Verbinden sendet, und es sieht deine IP-Adresse. Ein VPN verbirgt auch diese und schützt außerdem Apps, die ihren Verkehr nicht richtig verschlüsseln.

Was ein VPN nicht kann

• Es macht dich nicht anonym. Wenn du dich bei einem Konto anmeldest, weiß die Website, dass du es bist, mit VPN oder ohne. Cookies und Browser-Fingerprinting (dein Browser wird an Einstellungen, Bildschirmgröße, Schriften und mehr erkannt) funktionieren auch durch ein VPN.
• Es schützt nicht vor Schadsoftware oder Phishing. Eine gefälschte Bank-Website oder ein verseuchter Download erreicht dich durch den Tunnel genauso. Manche VPN-Apps sperren bekannte gefährliche Websites, aber das ist ein Extra, nicht das, was ein VPN tut.
• Es verlagert Vertrauen, statt es überflüssig zu machen. Der VPN-Anbieter steht jetzt dort, wo vorher dein Internetanbieter stand. Ein Anbieter, der deine Daten aufzeichnet oder verkauft, ist schlechter als gar kein VPN.
• Es verbirgt nicht, dass du ein VPN nutzt. Dein Netzwerk sieht, dass du dich mit einem VPN-Server verbindest, und viele Websites erkennen die Adressen von VPN-Servern und sperren sie oder verlangen zusätzliche Prüfungen.
• Es schützt nicht den Rest des Weges. Nach dem VPN-Server läuft dein Verkehr durch das normale Internet zur Website; ohne HTTPS kann er dort gelesen werden.
• Es kann nicht jedes Leck von selbst verhindern. Ist die App schlecht eingerichtet, können DNS-Abfragen, IPv6-Verkehr oder WebRTC in deinem Browser deine echte Adresse verraten (siehe so testest du auf Lecks).

Arten von VPN

„VPN“ steht für mehrere verschiedene Dinge. Sie nutzen dieselbe Technik für verschiedene Aufgaben.

• Private VPNs sind die Apps, die du abonnierst. Sie schützen deinen Verkehr in Netzwerken, denen du nicht vertraust, und ändern deinen scheinbaren Standort.
• Fernzugriffs-VPNs verbinden Mitarbeitende mit dem Netzwerk ihres Arbeitgebers, damit sie interne Dateien und Werkzeuge erreichen. Oft schicken sie nur den Firmenverkehr durch den Tunnel.
• Site-to-Site-VPNs verbinden ganze Netzwerke, zum Beispiel zwei Büros, über Router, die ständig einen Tunnel offen halten.
• Mesh-VPNs verbinden deine eigenen Geräte direkt miteinander, wo immer sie sind, sodass du vom Handy aus deinen Computer zu Hause erreichst.
• Selbst betriebene VPNs laufen auf einem Server oder Router, den du kontrollierst. Du musst keinem Anbieter vertrauen, aber die IP-Adresse des Servers führt zu dir zurück.
• „VPN“-Erweiterungen für den Browser decken meist nur den Browser ab und sind technisch Proxys. Deine anderen Apps schützen sie nicht.

Funktionen, die man kennen sollte

Kill Switch

Bricht die VPN-Verbindung kurz ab, würde dein Gerät normalerweise über die normale Verbindung weitermachen, mit deiner echten IP-Adresse. Ein Kill Switch sperrt den gesamten Internetverkehr, bis der Tunnel wieder steht.

Split Tunneling

Mit Split Tunneling wählst du, welche Apps oder Adressen das VPN nutzen. Dein Browser kann durch den Tunnel gehen, während deine Banking-App, ein Spiel oder der Drucker in deinem Heimnetz die normale Verbindung nutzen.

Weitere Funktionen

• Schutz vor DNS-Lecks: Die App schickt jede DNS-Abfrage (die Fragen, die Namen wie wikipedia.org in IP-Adressen übersetzen) durch den Tunnel an die eigenen DNS-Server des Anbieters.
• No-Logs-Richtlinie: das Versprechen, nicht aufzuzeichnen, was du tust. Es ist nur so viel wert wie sein Beweis: unabhängige Prüfungen, Gerichtsfälle, in denen der Anbieter nichts herausgeben konnte, und Server, die nur im Arbeitsspeicher laufen, sodass nach einem Neustart nichts übrig bleibt.
• Multi-Hop (Double VPN): Der Verkehr läuft über zwei VPN-Server, sodass keiner allein weiß, wer du bist und wohin du gehst. Das ist langsamer, und beide Server gehören meist derselben Firma.
• Verschleierung (Stealth-Modus): lässt VPN-Verkehr wie normalen Webverkehr aussehen, für Netzwerke, die VPNs sperren.
• Eigene IP-Adresse: eine Adresse nur für dich, sodass Websites keine Prüfungen mehr verlangen, die sie geteilten VPN-Adressen zeigen. Dafür lässt sie sich leichter mit dir verknüpfen.
• Portweiterleitung: lässt andere sich über das VPN mit deinem Gerät verbinden, zum Beispiel mit einem Spieleserver, den du betreibst.

VPN, Proxy oder Tor?

Alle drei schicken deinen Verkehr über den Server von jemand anderem, sodass Websites eine andere IP-Adresse sehen. Sie unterscheiden sich darin, was sie abdecken und wie viel sie schützen.

OnlineProxy.eu ist ein Webproxy, kein VPN: Es öffnet Websites direkt in deinem Browser-Tab, über unseren Server in der EU, ohne dass du etwas installierst. Das reicht oft, um eine Website zu öffnen, die in der Schule, bei der Arbeit oder in deinem Land gesperrt ist. Deine anderen Apps schützt es nicht, und aus rechtlichen Gründen speichern wir Protokolle (siehe Datenschutz). Wenn du Anonymität brauchst, nutze den Tor Browser.

Macht ein VPN das Internet langsamer?

Meist ein wenig. Vier Dinge entscheiden, wie sehr:

• Entfernung. Deine Daten machen einen Umweg über den VPN-Server. Ein Server im Nachbarland kostet ein paar Millisekunden; einer auf einem anderen Kontinent kann jeder Anfrage eine Zehntelsekunde oder mehr hinzufügen.
• Die Auslastung des Servers. Volle Server, oft die kostenlosen, teilen ihre Bandbreite auf viele Nutzer auf.
• Das Protokoll. WireGuard und IKEv2 sind schneller als OpenVPN, besonders auf Handys.
• Verschlüsselung. Jedes Paket bekommt ein paar Dutzend Bytes mehr und muss verschlüsselt werden; auf aktuellen Geräten kostet das sehr wenig.

Manchmal macht ein VPN die Dinge sogar schneller: Wenn dein Internetanbieter bestimmte Dienste absichtlich drosselt, kann er sie im Tunnel nicht erkennen. Für das beste Tempo wähle einen Server in deiner Nähe und nutze WireGuard.

Kostenloses oder kostenpflichtiges VPN?

VPN-Server zu betreiben kostet Geld, also müssen kostenlose VPNs es irgendwie verdienen. Manche tun das ehrlich, als begrenztes Gratis-Angebot eines Bezahldienstes, mit Datenlimit, weniger Servern oder geringerem Tempo. Andere zeigen Werbung, sammeln und verkaufen, was ihre Nutzer tun, oder enthielten nachweislich Tracking-Code. Eine Studie über 283 VPN-Apps für Android (CSIRO, 2016) ergab, dass 18 Prozent den Verkehr gar nicht verschlüsselten und 38 Prozent Anzeichen von Schadsoftware zeigten.

Wenn du ein kostenloses VPN willst, nimm lieber das Gratis-Angebot eines bekannten Bezahlanbieters als eine unbekannte Gratis-App.

So wählst du ein VPN aus

• Eine nachgewiesene No-Logs-Richtlinie, geprüft durch unabhängige Audits.
• Moderne Protokolle: WireGuard, OpenVPN oder IKEv2, und kein PPTP.
• Kill Switch und Schutz vor DNS-Lecks, standardmäßig eingeschaltet.
• Open-Source-Apps, oder zumindest Apps, die ein Sicherheitsaudit hatten.
• Server dort, wo du sie brauchst: in deiner Nähe für Tempo und in den Ländern, deren Inhalte du willst.
• Eine bekannte Firma und ein bekanntes Land: wer es betreibt, nach welchem Landesrecht und wie es auf Anfragen von Behörden reagiert.
• Ehrliche Versprechen. Sei vorsichtig bei „totaler Anonymität“ oder Schutz „nach Militärstandard“.
• Faire Bedingungen: eine Geld-zurück-Frist und Zahlungswege, die zu dir passen.

So richtest du ein VPN ein und testest es

1. Lade die App des Anbieters von seiner eigenen Website oder aus dem offiziellen App-Store deines Geräts.
2. Melde dich an, schalte den Kill Switch ein und wähle, falls möglich, WireGuard.
3. Wähle einen Server: den nächstgelegenen für Tempo oder das Land, das du brauchst.
4. Tippe auf „Verbinden“ und warte, bis die App meldet, dass du verbunden bist.
5. Prüfe deine IP-Adresse auf einer „Wie ist meine IP“-Website: Sie sollte jetzt die Adresse und das Land des VPN-Servers zeigen.
6. Mach einen DNS-Leak-Test und einen WebRTC-Leak-Test: Keiner darf deinen Internetanbieter oder deine echte Adresse zeigen.

Handys, Computer und viele Router haben VPN-Unterstützung auch eingebaut: Du kannst die Serverdaten deines Anbieters eintragen, zum Beispiel eine WireGuard-Konfigurationsdatei, ohne seine App zu installieren. Ein VPN auf dem Router schützt jedes Gerät in deinem Zuhause, auch Fernseher und Spielkonsolen, auf denen keine VPN-App läuft.

Ist ein VPN legal?

In den meisten Ländern, darunter der ganzen EU, dem Vereinigten Königreich und den USA, ist ein VPN legal, und Firmen verlassen sich jeden Tag darauf. Manche Länder verbieten VPNs oder erlauben nur staatlich zugelassene, zum Beispiel China, Russland, Iran, Belarus, Turkmenistan und Nordkorea, und andere bestrafen es, eines für eine Straftat zu nutzen. Was du über ein VPN tust, muss trotzdem dort legal sein, wo du bist, und die Bedingungen der Websites, die du nutzt, gelten weiter: Streamingdienste etwa können den Zugriff von VPN-Servern verweigern.

Verbreitete Irrtümer

Glossar

IP-Adresse

Die Nummer, die deine Verbindung im Internet kennzeichnet und die du von deinem Anbieter bekommst. Websites schätzen damit dein Land und deine Stadt.

Tunnel

Eine verschlüsselte Verbindung, die andere Verbindungen in sich trägt.

Kapselung

Ein Datenpaket in ein anderes packen, damit es durch den Tunnel reisen kann.

DNS

Das Telefonbuch des Internets, das Namen wie wikipedia.org in IP-Adressen übersetzt. DNS-Abfragen verraten oft, welche Websites du besuchst.

Protokoll

Die Regeln, nach denen zwei Computer miteinander sprechen; bei einem VPN, wie der Tunnel aufgebaut wird.

Kill Switch

Eine Funktion, die den Internetzugang sperrt, solange die VPN-Verbindung unterbrochen ist.

Split Tunneling

Nur manche Apps oder Adressen durch das VPN schicken.

Leck

Verkehr, der am Tunnel vorbeigeht und deine echte IP-Adresse oder deine DNS-Abfragen verrät.

No-Logs

Das Versprechen eines Anbieters, nicht aufzuzeichnen, was seine Nutzer tun.

Webproxy

Eine Website, die andere Websites für dich in deinem Browser-Tab öffnet, ohne dass du etwas installierst.

Tor

Ein kostenloses Netzwerk, das deinen Verkehr mit mehrschichtiger Verschlüsselung über drei von Freiwilligen betriebene Relays leitet, um dich anonym zu machen.

Zuletzt aktualisiert: 13. November 2026.